Zkoušel jsem to několika různými způsoby. Momentálně zkouším s pf na freebsd 8.2
Snažím se vložit řešení nat do existující sítě, které bude přesměrovat provoz z vnější IP adresy na vnitřní IP adresu na všech portech (statický nat), ale chci také přeložit zdrojovou adresu.
Aktuální síť.
hosta
192.168.1.2/24
gw
192.168.1.1/24
outsidehost
10.0.0.1/24
natbox
em0 192.168.1.3/24 (used to manage the box)
em1 10.0.0.2/24 (outside address same lan as outsidehost)
em0_alias0 192.168.1.4/24 (inside address same lan as hosta)
route 192.168.1.0/24 192.168.1.1
route 0.0.0.0 0.0.0.0 10.0.0.1
Chci, aby externí hostitel mohl používat telnet na 192.168.1.3 pomocí telnetingu (sp) na 10.0.0.2
Aby to fungovalo, předpokládám, že budu muset změnit zdroj paketu, když opustí em0, jinak se ztratí na cestě zpět k em1.
Takže tok probíhá takto:
- z externího hostitele telnet 10.0.0.2
- změňte zdrojovou adresu na 192.168.1.4
- přesměrovat provoz pro 10.0.0.2 na 192.168.1.2
- paket odejde se src 192.168.1.4 přejde na 192.168.1.2 a poté je odeslán zpět na 192.168.1.4 se převede zpět na jakýkoli zdroj addy byl v tomto případě 10.0.0.1
Pořád si myslím, že to lze udělat pomocí
binat a rdr, ale nemohu zjistit syntaxi.
Jak to mohu provést?
Přijatá odpověď:
Nakonec jsem šel s iptables pod linuxem, abych toho dosáhl.
Proto je třeba zapnout předávání IP:
echo net.ipv4.ip_forward=1 >> /etc/sysctl.conf
A nastavte si následující pravidla:
iptables -F -t nat
# flush the NAT Table.
iptables -t nat -P INPUT DROP
# set the input chain on the NAT table to DROP by default.
# This way any traffic not allowed by defining a source address gets dropped.
# If you don't provide a -s address below it will allow all hosts from anywhere
# to reach the inside address via the outside ip.
iptables -t nat -A PREROUTING -s 10.0.0.1 -d 10.0.0.2 \
-j DNAT --destination-address 192.168.1.3
# define the source and destination of the traffic allowed through.
# Change the dest address to our inside host.
iptable -t nat -A INPUT -s 192.168.0.0/24 -J ALLOW
# Drop all traffic on sourcing from inside subnet.
# This won't apply to traffic that matches the rule above
# as the source address will change in the next rule.
iptables -t nat -A POSTROUTING -d 192.168.1.3 \
-j SNAT --source-address 192.168.1.4
# here is the insert magic. Change the source address of any traffic destined
# for our inside host to our vip or owned inside address.
# This way the traffic is routed back to us at the FW.